implementing-web-application-logging-with-modsecurity

用途：为 Web 应用部署 ModSecurity WAF 并配合 OWASP Core Rule Set（CRS），实现请求/响应审计日志记录与攻击告警，用于取证分析和 SIEM 关联。

主要能力：ModSecurity 是开源 WAF 引擎，支持 Apache、Nginx、IIS；CRS 提供通用攻击检测规则，覆盖 SQL 注入、XSS、RCE、LFI 等 OWASP Top 10 攻击。审计日志记录完整请求/响应数据，告警可转发至 SIEM。

使用方式（资料给出的步骤）：

1. 安装 ModSecurity，并将 SecRuleEngine 配置为 DetectionOnly 模式。
2. 部署 OWASP CRS v4，设置 paranoia level（PL1-PL4）。
3. 配置 SecAuditEngine 为 relevant-only 日志。
4. 使用 SecRuleRemoveById 和规则排除项调优误报。
5. 调优期后切换为阻断模式（SecRuleEngine On）。
6. 将审计日志转发至 SIEM 进行关联与告警。

前置条件：Web 服务器（Apache 2.4+ 或 Nginx）并安装 ModSecurity v3 模块；已安装 OWASP CRS v4.x；具备日志聚合基础设施（ELK、Splunk 或 Wazuh）。

适用场景：需要 Web 应用攻击检测、审计日志留存、误报调优及 SIEM 集成的安全运维场景。

限制：资料未提供具体安装命令、配置片段、价格、平台支持细节或效果数据；实际部署需结合自身环境验证。